ZCode — Le harness qu'il faut confiner avant d'installer

État des lieux

ZCode est l'environnement de développement agentique (ADE) officiel de Z.ai, ex-Zhipu AI, l'éditeur des modèles GLM. Sorti le 1er juillet 2026 en client fermé pour GLM-5.2, il embarque un agent maison optimisé pour GLM-5.3, contexte annoncé d'un million de tokens, trois interfaces (desktop Electron, workspace web, CLI) et une surface d'extension complète : workflows multi-agents, Goal Mode, subagents, plugins, MCP, hooks, contrôle à distance. Le positionnement est le « long horizon » : garder dans une même tâche la compréhension, la planification, les modifications, la vérification et la revue.

Puis, le 18 septembre 2026, tout a basculé. Un développeur a démontré, capture réseau et désassemblage du fichier app.asar à l'appui, que le client embarquait une chaîne d'upload silencieuse de l'espace de travail complet — dont environ 87 % de .git — vers un bucket Alibaba Cloud OSS, chiffrée avec une clé privée qui ne quittait jamais les serveurs de l'éditeur. En réponse, Z.ai a présenté des excuses, supprimé la fonctionnalité Repo Wiki (v3.14.0, le 19 septembre), fait auditer la suppression du bucket par deux organismes chinois (CAICT et NSFOCUS), et publié le code le 20 septembre — une publication à l'historique aplati en deux commits, pull requests verrouillées et issues désactivées.

La carte des menus

L'application ZCode est gratuite à télécharger, et le code est publié sous Apache-2.0. La monétisation passe par l'abonnement GLM Coding Plan, relevé sur zcode.z.ai/en le 21 septembre : Lite à 12,6 $/mois (barré 18 $), Pro à 56 $/mois (barré 80 $), Max à 117,6 $/mois (barré 168 $), soit -30 % en promotionnel. L'essai nouveau utilisateur est documenté : cinq jours, trois millions de tokens GLM-5.3 par jour plus deux millions de tokens GLM-5-Turbo par jour, non reconductibles. Les « idle-time tasks » sont gratuites pour les abonnés.

À 12,6 $/mois, Z.ai se place très en dessous des abonnements des laboratoires américains — et le même plan GLM Coding fonctionne avec plus de vingt outils tiers, dont Claude Code. C'est l'argument prix, pas la performance brute.

Ce que la bête sait vraiment faire

La liste des capacités documentées est longue : Agent, Goal Mode, Browser Automation, Task & File Management, Wiki, Memory, Automations, Idle-time Task, Edit History, Remote Development, Remote Control, Bot Channel, Subagents, Plugin, Skill, MCP, Command, Hooks, Usage Stats, Safety Confirmation. Concrètement, trois interfaces coexistent : desktop Electron, workspace web servi sur 127.0.0.1, et CLI unifiée zcode (TUI par défaut, zcode --web pour le web).

Quelques points notables confirmés par le changelog : workflows dynamiques (v3.14.0), où un script unique orchestre plusieurs sous-agents ; pilotage à distance via WeChat, Feishu ou Telegram ; contrôle depuis téléphone présenté à parité avec le desktop ; modes Office et Coding commutables.

Côté performance, aucune mesure officielle. Le seul banc tiers repéré — dix tâches SWE-bench sur six harness, du 7 septembre — a été publiquement invalidé par son auteur pour un défaut de méthode. À ne pas citer comme preuve.

Les couleuvres à avaler

La controverse est le cœur du dossier, et elle est documentée au niveau du byte. Le 18 septembre, un développeur découvre que ~/.zcode dépasse 700 Mo, dont un fichier .enc de 313 Mo. La chaîne reconstituée : demande d'identifiants au serveur, chiffrement AES-256-CTR avec une clé symétrique éphémère, enveloppe de cette clé par RSA avec une clé publique reçue du serveur, envoi direct vers Aliyun OSS. Le fichier de 313 Mo présent sur le disque n'est déchiffrable ni par l'utilisateur, ni par le client. Le manifeste d'un snapshot type : 56,8 % de .git/lfs, 29,6 % de .git/objects — le cloud recevait l'historique complet, secrets supprimés compris.

Deux interrupteurs d'interface étaient inopérants : « Optimize Experience » et « Repo Snapshot Indexing » ne coupaient ni le packaging ni l'upload. La politique de confidentialité archivée ne mentionnait nulle part cet envoi.

La réponse de l'éditeur a ses limites logiques : supprimer un bucket de transit le 20 septembre ne prouve pas ce qui a été déchiffré, cloné ou utilisé avant le 18. Et la publication du code n'est pas un projet : dépôt créé le 20 septembre, deux commits, près de sept mille fichiers et un million de lignes déversés d'un coup, zéro release, zéro tag, PR verrouillées, issues fermées. La doc ne mentionne nulle part la controverse — seul indice, une ligne de correctif anodine.

Enfin, une confusion de nom à surveiller : « ZCode » est aussi le format des jeux Z-machine d'Infocom. Qui googlera « ZCode » tombera sur Zork avant de tomber sur Z.ai.

Verdict

ZCode cumule un vrai avis favorable d'usage — des commentateurs hostiles à l'éditeur le concèdent, « l'un des meilleurs harness du point de vue HCI » — et un passif de confiance qui, au 21 septembre, n'est toujours pas vérifiable de l'extérieur. Le produit est bon, le prix est agressif, la surface de fonctions est réelle. Mais pour un dépôt propriétaire sensible, la conclusion du dossier tient en une phrase : à confiner avant d'installer. ★★☆☆☆